DotW: 什么是同伴分裂的大脑?

DotW: 什么是同伴分裂的大脑?

77418
Created On 09/25/18 19:02 PM - Last Modified 06/07/23 04:36 AM


Resolution


I"我敢肯定,你们很多人都遇到了这个问题。 看到特定的错误消息,但不清楚它到底是什么意思。 当您看到相当令人担心的消息,但您没有遇到任何问题时,这尤其令人困惑。 这正是@zewwy 前一段时间发生在社区成员身上的事情。 讨论上周重新激活,因为新用户对以下主题有类似和/或后续问题:

 

屏幕截图2016-08-29 在14.07.38.png本周讨论

 

首先让我们解释一下 "分裂的大脑" 到底是什么。  

 

当 HA 成员不再能够相互通信以交换监控信息时,就会发生大脑分裂的情况 HA 。 每个 HA 成员将假设另一个成员处于非功能状态,并将接任为活动 A P (/) 或活动初级 A (/) A 。

 

可以通过配置 HA1 备份链接和/或启用检测信号备份来防止大脑分割状况。

 

用户 @mivaldi给出了一个很好的解释,并补充说 ,HA1链路故障的原因并不局限于物理问题。  

如果 ha_agent 进程忙且无法处理 HA1 函数, 也会发生这种情况。 在这种情况下,通过端口将备份为心跳备份是有用的 MGMT ,因为心跳功能会发出 ICMP 探头,这些探针由系统内核处理,而不是ha_agent过程。

 

HA控制链路连接的建议配置是使用两个设备之间的专用 HA1 链接,并使用管理端口作为控制链接( HA 备份)接口。 在这种情况下, 您不需要在 "选举设置" 页中启用 "心跳备份" 选项。 如果您正在使用用于控制链接链接的物理 HA1 端 HA 口和用于控制链接(备份)的数据端口 HA ,建议在"选举设置"页面中启用心跳备份选项。 第一个方案的示例可以在下面的屏幕截图中看到:

 

屏幕截图2016-08-29 在15.06.46.pngHA 例子

 

对于没有专用 HA 端口(如 PA-200 firewall "控制链接"连接)的设备,您应该为控制链接连接配置管理端口 HA ,并配置与 HA 控制链接 HA1 备份连接类型的数据端口接口。 由于在这种情况下使用管理端口, 因此无需在 "选举设置" 页中启用 "心跳备份" 选项, 因为心跳备份已经通过管理接口连接发生。
 
在 VM- 系列 firewall 中 AWS ,管理端口用作HA1链接。
 
在为控制链路使用数据端口时 HA ,您应该知道,由于控制消息必须从数据平面通信到管理平面,如果数据平面发生故障, HA 则控制链路信息无法在设备之间通信,并且会发生故障转移。 最好使用专用 HA 端口,或在没有专用端口的设备上 HA 使用管理端口。

 

用户用户重新激活了 @TranceforLife:如果恢复 HA1 通信,会发生什么?

 

我们自己的 @jdelio回答

如果要控制哪个成员首先处于活动状态,您必须在"设备"中配置"高可用性">">">设置

 

屏幕截图2016-08-29 在14.44.18.png抢占

 

我们已经有一套很棒的文件,解释你需要知道的一切 HA ,以及如何配置它。 如果您有其他问题,请务必查看这些。

如何配置主动 - 被动 HA
如何配置主动 - 主动 HA

您可以按照下面的完整讨论:

https://live.paloaltonetworks.com/t5/General-Topics/What-is-Peer-Split-Brain/m-p/19825#U19825



Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClSuCAK&lang=zh_CN&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language